NIS2 in Österreich Schritt für Schritt: Fahrplan für das verarbeitende Gewerbe und die Herstellung von Waren

1. Schritt 1: Anwendungsbereich und Einstufung prüfen

Das NISG 2026 nennt in § 2 unter den erfassten Sektoren auch das verarbeitende Gewerbe und die Herstellung von Waren, dessen Teilsektoren in Anlage 2 Nr. 5 beschrieben sind. Erfasst sind dort unter anderem die Herstellung von Medizinprodukten und In-vitro-Diagnostika, die Herstellung von Datenverarbeitungsgeräten sowie elektronischen und optischen Erzeugnissen, die Herstellung elektrischer Ausrüstungen, der Maschinenbau, die Herstellung von Kraftwagen und Kraftwagenteilen sowie der sonstige Fahrzeugbau. Einrichtungen dieser Art gelten nach § 24 Abs. 2 Z 1 als wichtige Einrichtung, sofern sie ein großes oder mittleres Unternehmen betreiben, wobei sich die Unternehmensgröße nach § 25 bestimmt. Der Status einer wesentlichen Einrichtung kommt für solche Betriebe nach § 24 Abs. 1 Z 1 nur in Betracht, wenn die Cybersicherheitsbehörde eine Einstufung nach § 26 Abs. 1 und 2 vornimmt oder der Betrieb als kritische Einrichtung im Sinne der Richtlinie (EU) 2022/2557 ermittelt wurde.

ÖNACE 26.11-0 — Herstellung von elektronischen BauelementenÖNACE 26.12-0 — Herstellung von bestückten LeiterplattenÖNACE 26.20-0 — Herstellung von Datenverarbeitungsgeräten und peripheren GerätenÖNACE 26.30-0 — Herstellung von Geräten und Einrichtungen der TelekommunikationstechnikÖNACE 26.40-0 — Herstellung von Geräten der UnterhaltungselektronikÖNACE 26.51-0 — Herstellung von Mess-, Kontroll-, Navigations- u. ä. Instrumenten und Vorrichtungen

Siehe auch die Sektorseite: Verarbeitendes Gewerbe · NIS2-Einrichtungskategorien — Österreich

Kostenlose Anwendbarkeitsprüfung starten

2. Schritt 2: Verantwortung der Leitungsorgane und Schulungen

Das NISG 2026 verlangt nach § 31 Abs. 2, dass die Einrichtung Cybersicherheitsschulungen für ihre Leitungsorgane vorsieht. Der zweite Satz dieser Bestimmung erfasst zusätzlich Schulungen für die Arbeitnehmer der Einrichtung. Art. 20 Abs. 1 der NIS-2-Richtlinie legt zugrunde, dass die Leitungsorgane die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und für Verstöße der Einrichtung zur Verantwortung gezogen werden können. Werden diese Schulungen nicht vorgesehen, liegt nach § 45 Abs. 1 Z 1 und 2 eine Verwaltungsübertretung vor.

NIS2-Schulungspflicht der Leitungsorgane nach Ländern

3. Schritt 3: Risikoanalyse als Grundlage

Nach § 32 Abs. 1 setzen wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht um, um die Risiken für ihre Netz- und Informationssysteme zu verringern. Der Maßnahmenkatalog des § 32 Abs. 4 beginnt mit Konzepten zur Risikoanalyse und zur Sicherheit von Informationssystemen. Das erreichte Sicherheitsniveau hat nach § 32 Abs. 2 dem bestehenden Risiko angemessen zu sein, wobei der Stand der Technik, einschlägige Normen und die Umsetzungskosten zu berücksichtigen sind. Für die Verhältnismäßigkeit stellt § 32 Abs. 3 auf die Risikoexposition, die Größe der Einrichtung sowie auf Wahrscheinlichkeit und Schwere möglicher Vorfälle ab.

Dieses Dokument erstellt die Plattform automatisch — es ist im Dokumentenpaket enthalten. Leistungen

4. Schritt 4: Katalog der Risikomanagementmaßnahmen

Die Maßnahmen beruhen nach § 32 Abs. 4 auf einem gefahrenübergreifenden Ansatz und umfassen zumindest Risikoanalyse und Systemsicherheit, Bewältigung von Vorfällen, Aufrechterhaltung des Betriebs mit Sicherungskopien, Wiederherstellung und Krisenmanagement sowie die Sicherheit der Lieferkette gegenüber unmittelbaren Anbietern und Diensteanbietern. Hinzu kommen Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung der Systeme samt Umgang mit Schwachstellen, Verfahren zur Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung sowie Mehr-Faktor- oder kontinuierliche Authentifizierung samt gesicherter Kommunikation. Für den Produktionssektor sieht das Gesetz keinen gesonderten Zusatzkatalog vor, sondern richtet dieselben Anforderungen an alle erfassten wesentlichen und wichtigen Einrichtungen. Die Cybersicherheitsbehörde ist nach § 32 Abs. 5 ermächtigt, nähere Anforderungen durch Verordnung festzulegen und dabei sektorspezifische Besonderheiten zu berücksichtigen.

NIS2-Risikomanagementmaßnahmen vs. ISO 27001, DORA und DSGVO

5. Schritt 5: Meldung erheblicher Vorfälle und Fristen

Nach § 34 Abs. 1 melden wesentliche und wichtige Einrichtungen jeden erheblichen Cybersicherheitsvorfall im Sinne des § 35 unverzüglich dem für sie zuständigen sektorspezifischen CSIRT oder, wenn ein solches fehlt, dem nationalen CSIRT, das die Meldung an die Cybersicherheitsbehörde weiterleitet. Die Frühwarnung ist nach § 34 Abs. 2 Z 1 unverzüglich, jedenfalls aber innerhalb von 24 Stunden nach Kenntnisnahme zu übermitteln. Die eigentliche Meldung mit einer ersten Bewertung folgt nach § 34 Abs. 2 Z 2 unverzüglich, jedenfalls aber innerhalb von 72 Stunden nach Kenntnisnahme. Der Abschlussbericht ist nach § 34 Abs. 2 Z 4 spätestens einen Monat nach Übermittlung dieser Meldung vorzulegen, wobei bei einem noch andauernden Vorfall nach § 34 Abs. 2 Z 5 zunächst ein Fortschrittsbericht tritt.

NIS2-Meldefristen bei Sicherheitsvorfällen nach EU-Ländern · Dieses Dokument erstellt die Plattform automatisch — es ist im Dokumentenpaket enthalten. Leistungen

6. Schritt 6: Schriftliche Nachweise und Unterlagen

Der Katalog des § 32 Abs. 4 spricht ausdrücklich von Konzepten und Verfahren, etwa zur Risikoanalyse, zur Bewertung der Wirksamkeit der Maßnahmen sowie zum Einsatz von Kryptografie, was eine schriftliche Festlegung voraussetzt. Nach § 38 Abs. 1 Z 3 stellt die Einrichtung der Cybersicherheitsbehörde auf Verlangen Informationen einschließlich dokumentierter Sicherheitskonzepte bereit. Ergänzend sieht § 38 Abs. 1 Z 4 den Zugang zu Daten, Dokumenten und sonstigen Informationen auf Anforderung vor. Auch die Selbstdeklaration und der Prüfbericht nach § 33 sowie die Berichte nach § 34 Abs. 2 setzen nachvollziehbar festgehaltene Unterlagen voraus.

Das Paket umfasst:

• Richtlinie zum Risikomanagement der Cybersicherheit
• Plan zur Behandlung von Sicherheitsvorfällen
• Plan zur Aufrechterhaltung des Geschäftsbetriebs
• Richtlinie zur Sicherheit der Lieferkette
• Erklärung zur Verantwortung der Geschäftsleitung und Schulungskonzept
• Ausfüllassistent im Portal

Wartung (monatlich) — Re-Sign der Dokumente nach geltendem Recht — 290 EUR/Monat — Leistungen

7. Schritt 7: Strafrahmen der Verwaltungsstrafbestimmungen

Für Verwaltungsübertretungen nach § 45 Abs. 1 sieht das Gesetz gestaffelte Strafrahmen vor. Bei einer wesentlichen Einrichtung im Sinne des § 24 Abs. 1 beträgt der Rahmen nach § 45 Abs. 2 bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten Umsatzes des Unternehmens im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag höher ist. Bei einer wichtigen Einrichtung im Sinne des § 24 Abs. 2 liegt der Rahmen nach § 45 Abs. 3 bei bis zu 7 000 000 EUR oder bis zu 1,4 % dieses Umsatzes, wobei ebenfalls der höhere Betrag maßgeblich ist. Für die in § 45 Abs. 4 aufgezählten Übertretungen, etwa die nicht fristgerechte Registrierung oder die unterbliebene Selbstdeklaration, gilt ein Rahmen von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR.

NIS2-Bußgelder nach Land